Tổng cộng, Google đã báo cáo 45 lỗi trong bản cập nhật tháng 3 với 11 lỗi nghiêm trọng và 33 xếp hạng cao.
Mười một lỗi nghiêm trọng của Android đã được vá trong Bản cập nhật bảo mật tháng 3 của Google . Ba trong số chúng được gắn với khung phương tiện truyền thông và hệ thống cốt lõi của Android, trong khi những cái khác liên quan đến việc chip Qualcomm bị lỗi.
Trong số các lỗi nghiêm trọng đó, Google đã vá ba lỗi thực thi mã từ xa (RCE) quan trọng, bao gồm hai lỗ hổng khung phương tiện truyền thông quan trọng (CVE-2019-1989 và CVE-2019-1990) ảnh hưởng đến Android 7.0 (Nougat) và sau đó.
Mặc dù dữ liệu CVE chưa có sẵn, một mô tả kỹ thuật được đăng trên trang web Dự án LineageOS chỉ ra rằng cả hai đều được gắn với các lệnh API kiểm soát video của Android.
Lỗ hổng nghiêm trọng thứ ba (CVE-2019-2009) ảnh hưởng đến hệ thống lõi Android (phiên bản 7 trở lên) trong khi đó có liên quan đến thành phần Bluetooth l2c_lcc_proc_pdu.
Lỗi thực thi mã từ xa Bluetooth
Mặc dù dữ liệu CVE không có sẵn, nhưng chi tiết kỹ thuật chỉ ra rằng lỗi được gắn với ngăn xếp Bluetooth của Android. Các vectơ tấn công trong quá khứ gắn liền với trên l2c_lcc_proc_pdu ‘ đã bao gồm độ cao của các cuộc tấn công đặc quyền thông qua Bluetooth, gây ra bởi một lỗ hổng viết ngoài giới hạn. Lỗi gần đây nhất này được dán nhãn là một lỗ hổng RCE.
Đầu năm nay, Google đã vá CVE-2018-9555, đây là một lỗ hổng gần như giống hệt nhau trong l2c_lcc_proc_pdu (CVE-2019-2009). Google đã viết: Có một bản viết ngoài giới hạn có thể do kiểm tra giới hạn bị thiếu. Điều này có thể dẫn đến sự leo thang đặc quyền từ xa qua Bluetooth, không cần thêm đặc quyền thực thi. Không cần tương tác người dùng để khai thác.
Lỗ hổng thành phần Qualcomm
Cũng cần lưu ý: Tám lỗ hổng nghiêm trọng bổ sung đã được báo cáo trong các thành phần của Qualcomm. Hai trong số các lỗi đều được gắn với một CVE ( CVE-2017-8252 ). Lỗ hổng này là một lỗ hổng thông tin về thông tin địa phương của người dùng trong lỗ hổng TrustZone của Android, một phần đặc biệt của nhân Android chạy hệ điều hành của chính họ. Cũng được gắn với một CVE duy nhất (CVE-2018-11817), là hai lỗ hổng liên quan đến chip Qualcomm chuyên dụng gọi là bộ xử lý tín hiệu số.
Thông tin về các lỗi bổ sung của Qualcomm bị hạn chế, tuy nhiên một lỗ hổng (CVE-2018-11958) ảnh hưởng đến các hệ điều hành cấp cao Android (HLOS), theo nhà sản xuất chip. “Bảo vệ không đầy đủ các phím trong bàn phím có thể dẫn HLOS để đạt được quyền truy cập vào dữ liệu đầu vào bàn phím bí mật,” Qualcomm đã viết .
Bản vá lỗi Samsung lỗi nghiêm trọng
Một cách riêng biệt, Samsung đã vá bảy lỗ hổng nghiêm trọng. Ba bản vá (CVE-2019-1989, CVE-2019-1990 và CVE-2019-2009) do Samsung phát hành đã được gắn với bản cập nhật tháng 3 của Google. Các lỗ hổng nghiêm trọng bổ sung được vá bởi gã khổng lồ điện tử tiêu dùng Hàn Quốc (CVE-2018-11262, CVE-2018-11289, CVE-2018-11820, CVE-2018-11938, CVE-2018-11945) đã được Google báo cáo vào tháng 2 Cập nhật bảo mật Android.
Các bản cập nhật cho Google Pixel và các điện thoại của nhà cung cấp khác (Samsung, LG và các điện thoại khác) đã bắt đầu thông qua các bản cập nhật qua mạng. Theo Google, các bản vá mã nguồn cho các vấn đề sẽ được phát hành cho kho lưu trữ Dự án nguồn mở Android trong 48 giờ tới, theo Google.
Tổng cộng, Google đã báo cáo 45 lỗi trong bản cập nhật tháng 3 với 11 lỗi nghiêm trọng và 33 xếp hạng cao. Độ cao của các lỗ hổng đặc quyền chiếm ưu thế trong nhóm tháng này, chiếm 21 lỗi được xác định trong số 45 lỗi được liệt kê. Do vậy người dùng nên cập nhật các phiên bản mới nhất để tránh bị những kẻ tấn công lợi dụng lỗ hổng nhằm tấn công.